即便某款产品连续多年被质疑存在严重安全隐患，微软依然能让它强行通关。
2024年底，美国联邦政府的网络安全评估人员对微软最核心的云计算产品之一给出了一个令人不安的结论。
根据 ProPublica 获得的一份政府内部报告显示，这家科技巨头由于“缺乏适当且详细的安全文档”，导致评审人员“完全没信心评估该系统的整体安全态势”。
评估团队的一位成员更是直言不讳：“这整套方案就是一坨屎（a pile of shit）。”
多年来，评审人员反映，微软一直试图解释其数据在数字版图的服务器间迁移时，是如何在云端保护这些敏感信息的，但始终说不清楚，也解释不通。由于存在大量未知数，政府专家根本无法为其安全性背书。
对于任何想把产品卖给美国政府的公司来说，这样的评价都是致命的，对微软而言更应如此。毕竟，在过去三年里，微软的产品一直是美国遭遇的两起重大网安袭击的暴风眼：一次是俄罗斯黑客利用漏洞窃取了包括国家核安全管理局在内的多个联邦机构的敏感数据。
如果无法核实“微软政府社区云高等级版”（GCC High）的安全性，联邦政府将面临更大的风险，因为这套云服务原本是专门用来保护国家最机密信息的。
然而，令人大跌眼镜的一幕发生了：联邦风险与授权管理计划（FedRAMP）竟然无视了这些问题，直接给微软发了“准考证”，盖上了联邦政府的网络安全认可印章。这一极不寻常的举动不仅在华盛顿引起了强烈震动，更帮助微软扩张了价值数十亿美元的政府业务版图。
微软的一位首席安全架构师 Richard Wakeman 甚至在网上论坛大肆炫耀，发了一张小李子在《华尔街之狼》里的表情包，配文：“BOOM SHAKA LAKA（大功告成）！”
“安全演戏”：崩溃的评审机制这显然不是联邦决策者在15年前开启“云革命”并创立 FedRAMP 时预想的结果。FedRAMP 本应通过多层审查和外部专家评估，确保像微软这样的供应商值得托付国家机密。
但 ProPublica 的调查（基于内部备忘录、日志、邮件、会议纪要以及对7名现任及前任政府雇员的访谈）发现，这套流程的每一个环节都崩了。尽管微软的产品在两次破坏性极强的网络攻击中处于核心位置，政府对微软表现出的“宽容”程度依然令人侧目。
早在2020年，FedRAMP 就对 GCC High 的安全性提出了质疑，要求微软提供详细的图表来解释其加密实践。但微软的回应却是挤牙膏式的，只给出了零散的信息。按理说，这申请早该被毙了，但官员们不仅没有拒绝，反而允许评审拖了近五年。
由于联邦机构在评审期间可以“试运行”该产品，GCC High 迅速在政府和国防工业中蔓延开来。到了2024年底，FedRAMP 的评审员发现他们已经别无选择，只能授权——不是因为疑问得到了解答，而是因为全华盛顿都在用它，已经“大到不能倒”了。
正如美国国家安全局（NSA）前计算机科学家 Tony Sager 所说：“这根本不是安全，这是‘安全演戏’（Security Theater）。”
“意大利面”般的混乱架构FedRAMP 团队最纠结的是一份被称为“数据流图”的基础文档。这份图表应该展示数据如何从 A 点移动到 B 点，更重要的是，在服务器跳转过程中是如何被加密保护的。
亚马逊和谷歌等竞品能常规提供这些细节，但微软却推三阻四。一名评审员透露，微软最后交了一篇讨论加密策略的白皮书，却唯独漏掉了数据在什么节点加密、什么节点解密的细节。
微软内部人士透露，问题的核心在于微软云服务是建立在几十年前的旧代码基础上的。一位评审员将其形容为“一堆意大利面馅饼（a pile of spaghetti pies）”。数据从 A 到 B 的路径就像是从华盛顿去纽约，中间却莫名其妙绕道去了大巴、轮渡和飞机，每一次绕道如果没做好加密，都是被劫持的机会。
“旋转门”背后的利益博弈除了技术上的拉锯战，更微妙的是人际关系的交织。
Melinda Rogers：原司法部副首席信息官，曾极力推动司法部采用 GCC High。2025年，她跳槽去了微软。
Lisa Monaco：原司法部副部长，曾发起严厉打击网安欺诈的倡议。2025年1月离职后，也被微软挖走，担任全球事务总裁。
在这种背景下，FedRAMP 承受了巨大的政治压力。司法部不仅不帮着评审人员施压，反而站在微软一边，指责 FedRAMP 效率低下。
被削弱的监管者如今，FedRAMP 内部已经没剩下多少能干活的人了。在“政府效率部”（DOGE）的裁员风暴下，该计划的预算被削减至1000万美元，为十年来最低，员工仅剩二十来人。
由于人手极度短缺，FedRAMP 现在更像是一个给行业“盖章”的机器。专家警告称，随着政府鼓励各机构采用基于云的 AI 工具，这种“放水”行为的后果将是灾难性的。